对 Active Directory 中的多个 OU 进行身份验证

Question

我正在使用具有以下配置的 Active Directory 成员资格提供程序：

   <connectionStrings>
      <add name="MyConnString" connectionString="LDAP://domaincontroller/OU=Product Users,DC=my,DC=domain,DC=com" />
   </connectionStrings>

  <membership defaultProvider="MyProvider">
     <providers>
        <clear />
        <add name="MyProvider" connectionStringName="MyConnString"
             connectionUsername="my.domain.com\service_account"
             connectionPassword="biguglypassword"
             type="System.Web.Security.ActiveDirectoryMembershipProvider, System.Web, Version=2.0.0.0, Culture=neutral, PublicKeyToken=b03f5f7f11d50a3a" />
     </providers>
  </membership>

这工作得很好，只是它要求我的所有用户都位于“产品用户”OU 中，而我实际上希望将所有用户组织到不同的子 OU 中我们的“产品用户”OU。这可能吗？

（请注意，这是此问题的部分转发 但我在这里问的问题从未在那里得到解答。）

Answer 1

根据我的理解，针对 AD 的身份验证是根据连接范围完成的。
本质上，这意味着连接字符串上下文中的所有内容都会被考虑...

如果您的连接为：

LDAP://domaincontroller/OU=Domain Users,DC=my,DC=domain,DC=com

any user然后将被验证为该域的成员。

从那里您应该添加基于 Windows 令牌的角色提供程序并对其进行类似的配置...

<!-- use windows authentication -->
<authentication mode="Windows" />

<!-- use the Windows role provider -->    
<roleManager enabled="true" defaultProvider="AspNetWindowsTokenRoleProvider" />

<!-- global authorization rules -->
<authorization>
    <allow roles="Domain Admins, Product Users"/>
    <deny users="*" />
</authorization>

这将锁定应用程序，仅供 OU“产品用户”及其所有子级中的域管理员和用户递归使用。

从那里您可以对其他功能进行进一步的“基于上下文”检查，例如...

If(User.IsInRole("Product Admins"))
{
   // do something groovy
}
else
   throw new SecurityException();

这是什么意思...

这意味着您可以根据域用户组成员身份对应用程序逻辑的安全性进行细粒度控制，如果用户是在您的域中，这将对它们进行身份验证，但可能不会授权它们（这取决于您的角色提供程序配置）。

身份验证：识别用户。

授权：授予用户权限/访问权限。